Trusted E-Commerce: TeleTrusT. Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking

Transkript

1 TeleTrusT Trusted E-Commerce: Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking TeleTrusT Arbeitsgruppe 4 - Open E-Commerce Security , Version 1.0 TeleTrusT Deutschland e.v. Chamissostraße Erfurt

2 1 Einleitung 5 2 Anwendungsgebiete für den Bereich ebanking Spezifische Anwendungsgebiete für ebanking Nicht-spezifische Anwendungsgebiete für ebanking 5 3 Business Case Auswahl typischer Anwendungen Bewertungsmatrix ebanking Kosteneinsparungen durch die Zusammenführung von Zugangswegen 8 Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 2 von 9

3 Das vorliegende Papier wurde von der TeleTrusT Arbeitsgruppe Open E-Commerce Security unter der Mitwirkung folgender Firmen und Autoren (alphabetische Reihenfolge) Henning Arendt Dr. Annegret Kampe Thomas Baumüller Kurt Maier Dr. Wernhard Markwitz Dr.Harald Ahrens Dr. Johannes Ueberberg Prof. Dr. Joachim Swoboda ei.tum.de Impressum: Herausgeber: TeleTrusT Deutschland e.v. Weitergabe des Dokuments bzw. Bereitstellung zum Download im Internet nur mit Hinweis auf Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 3 von 9

4 Die gesamte Ausarbeitung ist in folgenden Papieren zu finden:? Wirtschaftlichkeitsbetrachtungen, Vorgehensweise? Templates? Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ecampus;? Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich egovernment;? Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ehealth;? Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking; dieses Papier Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 4 von 9

5 1 Einleitung Der Bereich ebanking ist im Umfeld der Electronic Business Anwendungen einer der ältesten und am besten beschriebenen Anwendungen. Schon frühzeitig wurden durch den Zentralen Kreditausschuss (ZKA) der deutschen Banken umfangreiche Standardisierungsmaßnahmen unternommen. Heute liegt diese Spezifikation im Bereich des Homebanking in der Version 3.0 vor. In dieser Spezifikation sind Signaturanwendungen sowohl im Rahmen des Signatur-Gesetzes als auch vereinfachende Signaturanwendungen, die nicht SigG-konform sind, definiert. Heute werden im allgemeinen RSA-Signaturen angewendet, die allerdings nicht SigG-konform sind. Weitere Anwendungen der Signaturen innerhalb des Bankenbereiches setzen sich nur äußerst schleppend durch, da weder die Endanwender noch die Banken selbst bereit sind, in zusätzliche Infrastrukturen wie Karten und Kartenleser zu investieren. Trotzdem werden Signatur- und Sicherheitsmechanismen in Zukunft zu nehmen, da Endanwender die erhöhten Sicherheitsmechanismen im Banking-Bereich fordern und gleichzeitig von den Banken erwarten, ihnen die entsprechende Infrastruktur (Signaturkarte) zur Verfügung zu stellen. 2 Anwendungsgebiete für den Bereich ebanking 2.1 Spezifische Anwendungsgebiete für ebanking Im ebanking-bereich fordern sowohl Informationen als Transaktionen erhöhte Sicherheitsmaßnahmen, da in der Regel immer vertrauliche Informationen wie z. B. ein Kontoauszug im Rahmen der Information oder Überweisungen im Bereich der Transaktionen übertragen werden. 2.2 Nicht-spezifische Anwendungsgebiete für ebanking Ist einmal die Infrastruktur vorhanden, können die Mechanismen der Signatur und der Verschlüsselung zusätzlich in ebnking-fremden Anwendungen ange- Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 5 von 9

6 boten werden. Dies betrifft z. B den Abschluss von Reiseversicherung oder automatische Tools zur individuellen Finanzplanung. Das in FinTS definierte Authentisierungsverfahren lässt sich darüber hinaus, für alle vertraulichen Dienste innerhalb einer Internetanwendung einsetzen. 3 Business Case 3.1 Auswahl typischer Anwendungen Die typischen Anwendungen im Bereich Information, Kommunikation und Transaktion sind in der folgenden Tabelle aufgeführt. Alle im Homebanking relevanten Geschäftsvorfälle sind in der FinTS-Spezifikation 1 im einzelnen aufgeführt. Bereich Typische Geschäftsvorfälle Bemerkungen Information Kontoauszug, Saldenabruf Informationen über Bankenprodukte muss vertraulich behandelt werden bedarf keiner Vertraulichkeit Kommunikation Anbindung einer Telebank auch die Telefon-Banking-Anwendungen sollten der gleichen Vertraulichkeit unterliegen, wie die Homebanking-Anwendungen, es können gleichartige Mechanismen für die CallCenter-Mitarbeite genutzt werden Transaktion Überweisung, Wertpapierorder betrifft alle schriebenden Geschäftsvorfälle, alle benötigen eine erhöhte Vertraulichkeit Tabelle 1 Auswahl typischer Anwendungen für den ebanking-bereich 3.2 Bewertungsmatrix ebanking Der ebanking-bereich wird im folgenden gesamt bewertet, da einzelne Anwendungen nie getrennt voneinander bewertet werden können. 1 NN: FinTS 3.0 Financial Transaction Services Schnittstellenspezifikation, Version 3.0, Zentraler Kreditausschuss (ZKA), Berlin 2002 Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 6 von 9

7 In der Tabelle Auswahl typischer Anwendungen für den ebanking-bereich sind die unterschiedlichen Perspektiven des Endanwenders und der Bank dargestellt. Das Sicherheitsbedürfnis des Endanwenders ist wesentlich stärker ausgeprägt als das der Bank. Für die Bank sind es vor allem Kosteneinsparungspotenziale, die durch den Einsatz von vertrauenswürdigen Anwendungen ausgenutzt werden sollen. Die PKI-Infrastruktur muss durch die Bank selbst geschaffen werden, da die hohe Vertraulichkeit der Anwendung durch den Endanwender gefordert wird. Trotzdem ist Voraussetzung, das der Einfluss auf die Organisations- und IT- Infrastruktur innerhalb der Bank gering bleiben, da ansonsten die Kosteneinsparungspotenziale nicht realisiert werden können. Die Usability der Anwendung spielt naturgemäß nur für den Endanwender eine Rolle. Bei der Bank hingegen müssen die Anwendungen geringe Wartungs- und Betriebsführungskosten garantieren. Bereich: Transaktion Zahlungsverkehr und Brokerage Kommunikation Anbindung CallCenter Information Depotanalysen, Wertpapierentwicklungen [Punkte] Kosteneinsparung + o 50,00% 0,00% 50 0 Personaleinsparung o o 10,00% 0,00% 0 0 geringe Investition ,00% 10,00% schneller Return of Investment ,00% 0,00% 10 0 Imagegewinn o o 0,00% 0,00% 0 0 Sicherheitsbedürfnis Sicherheitsbedürfnis Authentizität o + 0,20% 10,00% 0 10 Autorisierung o + 0,20% 10,00% 0 10 Datensicherheit o + 0,20% 10,00% 0 10 Datenschutz o + 0,20% 10,00% 0 10 Validität o + 0,20% 10,00% 0 10 Infrastruktur vorhanden Netzzugriff ,00% 0,00% 0 0 PKI-Zugangswege ,00% 10,00% Einsatz wird durch Beteiligten akzeptiert ,00% 0,00% 0 0 geringer Einfluss auf die Organisationsstruktur geringer Einfluss auf die eigene IT-Infrastruktur einfach zu bedienen Tabelle 2 Bewertungsmatix für den Bereich ebanking -- o 5,00% 0,00% ,00% 10,00% o ++ 0,00% 20,00% 0 40 Summe 100,00% 100,00% 2 40 Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 7 von 9

8 3 Business Case 3.3 Kosteneinsparungen durch die Zusammenführung von Zugangswegen Die Anwendung von Signatur- und Verschlüsselungsalgorithmen können Kosteneinsparungen garantieren, wenn sie die vielen Zugangsarten für den Endanwender durch eine Zugangsart ersetzen, ohne dass der Endanwender umfangreich migriert werden muss. Das nachfolgende Rechenbeispiel soll diese Aussage verdeutlichen: Ein proprietärer PIN/TAN-Zugang soll durch einen FinTS-Zugang ersetzt werden. Der FinTS-Zugang ist gut standardisiert, so dass der Endanwender auf diesen mit seiner gewohnten Homebanking-Software zugreifen kann. Das abzulösende System verursacht ca Betriebskosten im Jahr. Diese Kosten setzen sich aus Leitungs- und Betriebsführungskosten zusammen. Das neue System verursacht nur noch Kosten im Jahr, da die Betriebsführung wesentlich vereinfacht wird. Zusätzliche Leitungskosten fallen nicht an. Die Investitionskosten des neuen Systems betragen insgesamt für Soft- und Hardware ca Euro. Wenn nun der Parallelbetrieb des Neu- und Altsystems über eine halbes Jahr aufrecht erhalten wird und weiterhin angenommen wird, dass schon nach 2 Monaten 70 % der Endnutzer auf das neue System migriert sind, amortisiert sich die Investition innerhalb von 5 Monaten. Die entsprechende Kostenentwicklung ist in der Abbildung Kostenentwicklung für eine Investition in eine standardisierte Anwendung dargestellt. Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 8 von 9

9 3 Business Case Kostenentwicklung Kosten Altsystem Kosten Neusystem Alt-Neusystem Abbildung 1 Kostenentwicklung für eine Investition in eine standardisierte Anwendung Open E-Commerce Security Beispiel: Wirtschaftlichkeitsbetrachtungen für den Bereich ebanking Seite 9 von 9